Das Informationssicherheits-Managementsystem ISMS nach ISO 27001

Die ISO 27001 Zertifizierung eines ISMS erfolgt in drei Schritten:

1. Interne Audits

• Vorbereitung und Planung: Das Unternehmen bereitet interne Audits vor, indem es einen Auditplan erstellt und die relevanten Bereiche und Prozesse identifiziert.
• Durchführung: Interne Auditoren oder externe Berater überprüfen das ISMS systematisch auf Konformität mit den ISO 27001-Anforderungen. Sie identifizieren Schwachstellen und Verbesserungspotenziale.
• Berichterstattung: Die Ergebnisse werden dokumentiert, und es werden Korrekturmaßnahmen für festgestellte Mängel geplant und umgesetzt.

2. Externes Audit durch einen zugelassenen Auditor zur Zertifizierung

• Dokumentenprüfung: Ein externer Auditor überprüft die ISMS-Dokumentation des Unternehmens, um sicherzustellen, dass alle erforderlichen Richtlinien, Verfahren und Aufzeichnungen vorhanden und konform mit der Norm ISO 27001 sind.
• Vor-Ort-Audit: Der Auditor besucht das Unternehmen, um die praktische Umsetzung des ISMS zu überprüfen. Dies umfasst Interviews mit Mitarbeitern, Inspektionen von Prozessen und Systemen sowie die Überprüfung der Korrekturmaßnahmen aus den internen Audits.
• Zertifizierungsentscheidung: Nach erfolgreichem Abschluss des Vor-Ort-Audits stellt der Auditor einen Bericht zusammen und entscheidet, ob das Unternehmen die ISO 27001-Zertifizierung erhält. Bei Erfolg wird das Zertifikat ausgestellt.

Sie stehen noch am Anfang?

In diesem Artikel erklären wir,  was eine ISO 27001 Gap-Analyse ist und wie Sie die Sie Maßnahmen identifizieren, um die Zertifizierung zu erhalten?

3. Kontinuierliche Überwachung

• Überwachungsaudits: Nach der Zertifizierung führt der externe Auditor in regelmäßigen Abständen Überwachungsaudits durch, um sicherzustellen, dass das ISMS weiterhin konform ist und effektiv funktioniert.
• Kontinuierliche Verbesserung: Das Unternehmen muss das ISMS kontinuierlich überwachen, bewerten und verbessern. Dies umfasst regelmäßige Assessments, Managementbewertungen und die Umsetzung von Maßnahmen zur Behandlung neuer Risiken und Verbesserungspotenziale.
• Re-Zertifizierung: Alle drei Jahre muss das Unternehmen ein umfassendes Re-Zertifizierungsaudit durchlaufen, um die ISO 27001-Zertifizierung zu erneuern.

Diese Schritte stellen sicher, dass das ISMS nicht nur zu Beginn konform ist, sondern auch langfristig effektiv bleibt und kontinuierlich verbessert wird.